Xác thực điện tử theo rủi ro, thiết kế nhiều lớp bảo vệ quyền riêng tư
Sáng 4-11, các đại biểu (ĐB) Quốc hội thảo luận tại hội trường về dự án Luật Định danh và xác thực điện tử.
Không để người dân phải "chứng minh mình là chính mình"
Dự thảo quy định bắt buộc liên kết danh tính điện tử khi chủ thể thực hiện giao dịch với cơ quan, tổ chức, cá nhân khác. ĐB Dương Khắc Mai (Lâm Đồng) phân tích, cách diễn đạt "thực hiện giao dịch" rất rộng, dễ dẫn tới cách hiểu mọi giao dịch đều phải liên kết với danh tính của cá nhân, tổ chức liên quan. ĐB đề nghị, việc buộc liên kết phải căn cứ yêu cầu của luật, tính chất và mức độ rủi ro của giao dịch.
Dự thảo yêu cầu ghi nhận mọi hoạt động xác thực đồng bộ về hệ thống quốc gia, việc đồng bộ nhật ký không bao gồm nội dung giao dịch. Theo ĐB Dương Khắc Mai, dữ liệu lịch sử xác thực nếu được tập trung quá rộng và lưu giữ kéo dài có thể làm lộ thói quen giao dịch, ảnh hưởng quyền riêng tư của người dân.
ĐB Phạm Trọng Nhân (TPHCM) nêu ra số liệu, tính đến ngày 2-10, ngành ngân hàng đã đối chiếu sinh trắc học cho hơn 175 triệu hồ sơ khách hàng cá nhân. Trong khi theo Ngân hàng Nhà nước, sinh trắc học không phải là giải pháp duy nhất chống lừa đảo.
ĐB Nhân dẫn chứng tháng 6- 2026, Công an tỉnh Thanh Hóa triệt phá đường dây mua bán gần 1.000 tài khoản ngân hàng. Các đối tượng lấy ảnh chụp sẵn của chủ tài khoản, dựng thành video bằng phần mềm, can thiệp thiết bị, đưa vào thay camera để qua mặt sinh trắc của nhiều ngân hàng. Khi kẻ gian dùng ảnh, video giả vượt qua mức độ 3, kết quả xác thực ở mức cao nhất lại trở thành chứng cứ bất lợi đầu tiên cho chính người bị hại, khi đó người bị hại có nguy cơ phải tự chứng minh: mình không phải là mình.
Đại biểu Phạm Trọng Nhân (TPHCM). Ảnh: QUANG PHÚC
ĐB Phạm Trọng Nhân đề nghị gia cố quy định mức xác thực tối thiểu bắt buộc theo rủi ro giao dịch, không để bên sử dụng hoàn toàn tự chọn; bổ sung chuẩn hóa nội dung mức độ 3 và bắt buộc áp dụng mức này cho giao dịch thuộc danh mục rủi ro cao. Mức độ 3 phải có yếu tố sở hữu gắn với phần cứng như chip trên thẻ căn cước, không chỉ dựa vào camera và tin nhắn trên cùng một chiếc điện thoại, bởi điện thoại bị can thiệp thì cả gương mặt qua camera lẫn mã OTP gửi về máy đều không còn đáng tin cậy.
“Luật làm ra không chỉ để chứng minh hệ thống xác thực an toàn và thông minh đến đâu, mà còn phải bảo đảm không một người dân nào phải có nghĩa vụ đi chứng minh: mình là chính mình”, ĐB Phạm Trọng Nhân bày tỏ.
Bộ trưởng Bộ Công an Lương Tam Quang phát biểu giải trình, làm rõ một số vấn đề ĐB Quốc hội nêu, sáng 4-11. Ảnh: QUANG PHÚC
Nhiều lớp bảo vệ quyền riêng tư
Giải trình ý kiến của các ĐB, Bộ trưởng Bộ Công an Lương Tam Quang nêu rõ, dự thảo luật xác định phạm vi định danh điện tử.
Những nhóm đối tượng định danh do cơ quan nhà nước thực hiện gồm: cơ quan, tổ chức, cá nhân, địa điểm, không gian, đối tượng có thông tin thuộc dữ liệu cốt lõi, dữ liệu quan trọng, đối tượng được chứng nhận quyền sở hữu, sử dụng sản phẩm hàng hóa có mức độ rủi ro cao, đối tượng thuộc bí mật nhà nước.
Các nhóm đối tượng định danh điện tử còn lại do tổ chức cung cấp dịch vụ đủ điều kiện thực hiện theo nhu cầu của cơ quan, tổ chức, cá nhân.
Dự thảo giao cho Chính phủ quy định danh mục và lộ trình thực hiện đối với nhóm do cơ quan nhà nước thực hiện để đảm bảo phù hợp với điều kiện thực tiễn chuyển đổi số ở nước ta.
Trường hợp thông tin để tạo lập danh tính điện tử đã có đầy đủ, chính xác trong cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành thì cơ quan nhà nước tự động thực hiện quy trình tạo lập danh tính điện tử và cấp mã định danh quốc gia cho đối tượng.
Như vậy, cơ quan, tổ chức, cá nhân không phải cung cấp lại thông tin để tạo lập danh tính điện tử hoặc thực hiện thủ tục đăng ký định danh điện tử.
Các đại biểu dự họp Quốc hội sáng 4-11. Ảnh: QUANG PHÚC
Bộ trưởng Bộ Công an Lương Tam Quang nhấn mạnh, dự thảo luật đã thiết kế nhiều lớp bảo vệ quyền riêng tư, thu thập dữ liệu tối thiểu phải có sự đồng ý của chủ thể, không đồng bộ nội dung giao dịch, không chia sẻ kết quả xác thực ngoài phạm vi cho phép. Việc bảo vệ dữ liệu cá nhân trong hoạt động định danh và xác thực điện tử được thực hiện chặt chẽ theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.
Về việc liên kết tài khoản giao dịch với danh tính điện tử, cơ chế phòng ngừa rủi ro trong việc giả mạo danh tính trên môi trường điện tử, theo Bộ trưởng, dự thảo luật quy định cơ quan, tổ chức, cá nhân sử dụng tài khoản giao dịch điện tử để giao dịch điện tử trực tuyến trong các lĩnh vực (chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám bệnh, chữa bệnh, trung gian thanh toán, ví điện tử... ) thì phải xác thực với danh tính điện tử quốc gia và liên kết tài khoản giao dịch điện tử với danh tính điện tử đó.